설명

• 이 PoC 프로그램은 권한이 없는 사용자가 파일과 폴더를 삭제할 수 있게 해주는 ioctl을 노출하는 IMFForceDelete 드라이버를 악용합니다. ZDI와 Halov가 설명한 기법을 사용하면 이를 권한 상승으로 전환할 수 있습니다. 이 기법은 문제 발생 시 시스템 무결성을 유지하도록 설계된 MSI 롤백 메커니즘을 악용합니다. 약한 DACL과 가짜 RBF 및 RBS 파일로 이를 삭제하고 재생성함으로써 NT AUTHORITY\SYSTEM 권한으로 시스템에 임의 변경을 가할 수 있는 능력을 얻게 됩니다.

VID

https://github.com/user-attachments/assets/58e343d2-97a4-4ca3-9deb-df911b717a57

라이트업

• https://www.hackandhide.com/from-dos-to-privilege-escalation/

크레딧

• Halov
• ZDI
• vx-underground and #ifndef hjonk